中国系「Silver Fox」、日本の製造業を狙うBYOVD攻撃 ValleyRATを展開
BYOVDとValleyRATを組み合わせた攻撃
中国系脅威グループ「Silver Fox」が、「Bring Your Own Vulnerable Driver（BYOVD）」と呼ばれる手法を用いて、日本の製造業を標的とした攻撃を展開していることが明らかになった。Cato Networksの調査によると、攻撃者はValleyRATを用いたリモートアクセスを目的としており、請求書を装ったフィッシングメールを起点に攻撃を開始する。QQやTencent Cloudなどの正規サービスを悪用して信頼性を装い、被害者にZIPアーカイブをダウンロードさせることで、ValleyRATの感染へと誘導する。
Silver Foxは、「BootRepair.sys」と「EnPortv.sys」の2種類のドライバーを悪用し、BYOVD攻撃チェーンを構築している。攻撃では、BYOVDに加え、DLLサイドローディングやNTDLLアンフッキングなど複数の手法を組み合わせることで、セキュリティ製品による検知を回避する。さらに、スケジュールタスクの登録や外部C2サーバーとの通信によって永続性を確保し、シェルコードのインジェクションを用いてマルウェアの実行を維持する。
今回の攻撃の特徴は、二重の監視メカニズムを採用している点にある。実行されたペイロードと、それを監視するルーチン、さらにペイロードの再生成を監視するスクリプトが相互に連携し、一方が停止してももう一方が復旧を試みることで攻撃の継続性を維持する。この仕組みにより、侵害を完全に排除するには複数のコンポーネントを同時に無効化する必要がある。
今回の事例は、Silver Foxがより高度で拡張性の高い攻撃ツールを運用していることを示している。また、一部のマルウェアは商用目的で開発・流通している可能性も指摘されており、複数の脅威アクターによって悪用されるリスクがある。こうした動向は、サイバー攻撃のエコシステムが一層高度化・分業化していることを示している。
